The version of Next.js installed on the remote host is 15.3.x prior to 15.3.3. It is, therefore, affected by a cache poisoning vulnerability in the App Router, which may allow RSC payloads to be cached and served in place of HTML under specific conditions involving middleware and redirects.

Note that the scanner has not attempted to exploit this issue but has instead relied only on application's self-reported version number.

There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Next.js is a React framework for building full-stack web applications. In Next.js App Router from 15.3.0
    to before 15.3.3 and Vercel CLI from 41.4.1 to 42.2.0, a cache poisoning vulnerability was found. The
    issue allowed page requests for HTML content to return a React Server Component (RSC) payload instead
    under certain conditions. When deployed to Vercel, this would only impact the browser cache, and would not
    lead to the CDN being poisoned. When self-hosted and deployed externally, this could lead to cache
    poisoning if the CDN does not properly distinguish between RSC / HTML in the cache keys. This issue has
    been resolved in Next.js 15.3.3. (CVE-2025-49005)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Next.js 是用於建置完整堆疊 Web 應用程式的 React 架構。在 15.3.0 到 15.3.3 之前的 Next.js App Router 以及 41.4.1 到 42.2.0的 Vercel CLI 中發現一個快取毒害弱點。此問題允許 HTML 內容的頁面要求在某些情況下改為傳回 React Server Component (RSC) 承載。部署至 Vercel 時這只會影響瀏覽器快取不會導致 CDN 遭到破壞。自我主控並在外部部署時如果 CDN 未正確區分快取金鑰中的 RSC/HTML這可導致快取毒害。此問題已在 Next.js 中解決 15.3.3。 (CVE-2025-49005)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Next.js 是用于构建全堆栈 Web 应用程序的React 框架。 15.3.0 版之前的 15.3.3 版的 Next.js App Router 以及 41.4.1 版到 42.2.0版的 Vercel CLI 中发现一个缓存中毒漏洞。该问题允许对 HTML 内容的页面请求在某些情况下返回React Server Component (RSC) 负载。部署到 Vercel 时这只会影响浏览器缓存不会导致 CDN 中毒。自托管并部署在外部时如果 CDN 未正确区分缓存密钥中的 RSC/HTML可导致缓存中毒。此问题在 Next.js 中已解决 15.3.3。 (CVE-2025-49005)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Next.js は、フルスタック Web アプリケーションを構築するための React フレームワークです。 15.3.0 から 15.3.3 より前の の Next.js App Router および 41.4.1 から 42.2.0の Vercel CLI で、キャッシュポイズニングの脆弱性が見つかりました。この問題により、特定の条件下で、HTML コンテンツに対するページリクエストが、代わりに React Server ComponentRSCのペイロードを返すことが可能でした。Vercel に展開された場合、これはブラウザキャッシュにのみ影響を与え、CDN がポイズニングされることはありません。自己ホストされ、外部に展開された場合、CDNがキャッシュキーでRSC/HTMLを適切に区別しない場合、キャッシュポイズニングにつながる可能性があります。この問題は、Next.js 15.3.3で解決済みです。CVE-2025-49005

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Next.js is a React framework for building full-stack web applications. In Next.js App Router from 15.3.0     to before 15.3.3 and Vercel CLI from 41.4.1 to 42.2.0, a cache poisoning vulnerability was found. The     issue allowed page requests for HTML content to return a React Server Component (RSC) payload instead     under certain conditions. When deployed to Vercel, this would only impact the browser cache, and would not     lead to the CDN being poisoned. When self-hosted and deployed externally, this could lead to cache     poisoning if the CDN does not properly distinguish between RSC / HTML in the cache keys. This issue has     been resolved in Next.js 15.3.3. (CVE-2025-49005)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
115781	Next.js 15.3.x < 15.3.3 Cache Poisoning	Web App Scanning	Component Vulnerability	11/6/2026	11/6/2026	low
428292	SCA: security update for next (GHSA-r2fc-ccr8-96c4)	Tenable Cloud Security	SCA Checks	7/4/2025	7/2/2026	low
428292	SCA: security update for next (GHSA-r2fc-ccr8-96c4)	Tenable Self-Hosted Container Security	SCA Checks	7/4/2025	7/2/2026	low
260206	Linux Distros 未修補的弱點：CVE-2025-49005	Nessus	Misc.	9/1/2025	11/6/2026	low
260206	Linux Distros 未修补的漏洞：CVE-2025-49005	Nessus	Misc.	9/1/2025	11/6/2026	low
260206	Linux Distros のパッチ未適用の脆弱性: CVE-2025-49005	Nessus	Misc.	9/1/2025	11/6/2026	low
260206	Linux Distros Unpatched Vulnerability : CVE-2025-49005	Nessus	Misc.	9/1/2025	11/6/2026	low

Detections

Analytics

Plugins Search

low

low

low

low

low

low

low